m365-oversharing

Microsoft 365 过度共享修复

过度共享——内容的共享范围超出应有范围——是 Microsoft 365 中大多数数据暴露事件的根本原因，也是被 AI 放大的最大风险。Microsoft 的 安全且受治理的数据基础 蓝图将修复工作划分为三大支柱：修复过度共享、设置护栏并满足法规要求。这项工作依托 SharePoint Advanced Management（SAM，包含在 Microsoft 365 Copilot 许可证中）、敏感度标签和容器标签，以及 Microsoft Purview。

适用场景

构建安全且治理完善的 Microsoft 365 数据环境——减少能够访问 SharePoint、OneDrive、Teams 和 Exchange 内容的人员范围，然后通过可强制执行的默认设置维持这一状态。无论是否涉及 Copilot，此方法都适用；这是所有 AI 或数据计划都依赖的数据基础工作。

如果问题纯粹是关于 Copilot 推出准备情况（请使用 purview-copilot-oversharing）、监控 AI 提示词中的敏感数据（请使用 purview-dspm-ai），或设计全租户 DLP 计划（请使用 purview-dlp-policy），则不要使用此技能。

三大支柱

支柱	目标	主要措施
修复过度共享	快速发现并减少现有的过宽访问权限	SAM 数据访问治理（DAG）报告、清理 EEEU、清理共享链接、受限访问控制 / 受限内容发现
设置护栏	通过可强制执行的默认设置防止问题反弹	敏感度标签 + 容器标签、安全默认标记、默认共享设置、网站生命周期策略
满足法规要求	弥补审计 / 法律及 AI 监管方面的差距	Purview Audit、Compliance Manager 评估、数据卫生

经验法则：评估 -> 分类 -> 限制 -> 默认安全 -> 治理。跳过评估（DAG 报告）这一步是最常见的失败原因；为了“安全起见”而对所有内容加密则是第二常见的原因。

方法

1. 评估（DAG 报告） - 运行 SharePoint Advanced Management 数据访问治理报告，找出风险最高的网站：过多网站启用了“除外部用户外的所有人”（EEEU）、广泛共享的网站、共享链接泛滥，以及已设置权限但包含敏感内容的网站。 验证：DAG 报告对风险最高的前 N 个网站进行了排名，并列出具名所有者。
2. 应用临时限制 - 对风险最高的网站，应用受限访问控制 / 受限内容发现，作为快速的临时护栏，同时由所有者进行修复。 验证：受限网站不再出现在测试用户的搜索 / Copilot 结果中。
3. 联系网站所有者 - 告知所有者预期的修复措施；不要在不了解所有者情况时集中移除权限——这会破坏合理的协作并侵蚀信任。 验证：已创建所有者修复工单并设定截止日期。
4. 分类并标记 - 对敏感内容应用敏感度标签，并对网站应用容器标签；仅对真正敏感的内容加密。 验证：最高级别的标签可加密内容并阻止未经授权的访问。
5. 默认安全 - 使用安全默认标记（根据 SharePoint 网站派生标签），并收紧默认共享设置，以便新内容在无需依赖用户记得添加标签的情况下得到保护。 验证：新创建的内容会继承默认标签 / 共享范围。
6. 治理生命周期 - 应用网站生命周期和非活动网站策略，以及访问审查，防止过度共享卷土重来；这是持续的治理工作，而非一次性清理。 验证：非活动网站已归档，或所有者已按规定周期重新确认。
7. 满足法规要求并监控 - 使用 Purview Audit 和 Compliance Manager 弥补审计 / 法律及 AI 监管方面的差距，并持续监控新的过度共享问题。 验证：审计 / 法规评估显示数据暴露风险随时间降低。

防护措施

• 在大范围启用 AI/Copilot 之前先进行修复；可以开展范围明确的试点，但未经评估就面向整个租户启用，很快就会引发投诉。
• 先评估——没有 DAG 报告就进行修复，意味着你会修错问题。
• 不要为了「保险起见」就把所有内容都加密并标为最高级别——这会影响外部协作和正常共享；默认采用安全标签并处理例外情况，更易于扩展。
• 与站点所有者协调；集中批量移除权限会破坏协作。
• SAM 需要许可证（包含在 Microsoft 365 Copilot 中，也可使用独立 SKU/E5 SKU）——在假设报告已经存在之前，先确认是否可用。
• 过度共享控制是一项持续治理工作——每天都会出现新站点和共享链接。

常见反模式

• 只运行一次 DAG 报告，修复排名前 20 的站点，就宣布大功告成。
• 面向整个租户启用 Copilot 或新的数据计划，然后再处理过度共享问题。
• 在半个租户范围内应用 Restricted Content Discovery——用户会抱怨搜索功能毫无用处。
• 教用户「何时需要保护」，而不是采用默认安全标签。
• 因为报告太长就忽视共享链接泛滥问题。

示例提示词

• 使用安全且受治理的数据基础蓝图，修复 Microsoft 365 中的过度共享问题。
• 使用 SharePoint Advanced Management 数据访问治理来查找权限范围过宽的问题。
• 设置默认安全标签，自动保护新的 SharePoint 内容。
• 清理「除外部用户之外的所有人」权限和泛滥的共享链接。
• 构建可强制执行的防护措施，防止过度共享问题反复出现。

Microsoft Learn

• 安全且受治理的数据基础（过度共享蓝图）：https://learn.microsoft.com/en-us/microsoft-365/copilot/secure-govern-copilot-foundational-deployment-guidance
• 配置安全且受治理的基础：https://learn.microsoft.com/en-us/microsoft-365/copilot/configure-secure-governed-data-foundation-microsoft-365-copilot
• Purview 蓝图——默认安全：https://learn.microsoft.com/en-us/purview/deploymentmodels/depmod-securebydefault-intro
• SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
• 数据访问治理报告：https://learn.microsoft.com/sharepoint/data-access-governance-reports
• Restricted content discovery：https://learn.microsoft.com/sharepoint/restricted-content-discovery